Ist Claude DSGVO-konform? Es zählen Tarif, AVV und Schalter

Du möchtest in Claude einen Vertrag prüfen lassen. Oder eine Datei zusammenfassen und eine Aufgabe vorbereiten. Für die Datenschutzfrage reicht der Satz „Meine Chats werden nicht trainiert“ nicht. Entscheidend ist, ob du einen privaten Tarif, einen verwalteten Arbeitsbereich, Education, die direkte API oder einen Cloud-Anbieter nutzt.

Auch die Funktion zählt. Ein gelöschter Chat, eine gespeicherte Memory, Projektwissen und ein Artifact sind nicht dasselbe. Eine lokale App sagt noch nicht, wo das Modell rechnet oder welche Kopien bestehen.

Dieser Ratgeber trennt Chat, Einstellungen, Dateien, Cowork, API und Claude Code. So kannst du vor einer Eingabe prüfen, welcher Vertrag, Schalter und Speicherort für deinen tatsächlichen Zugang zählt.

Was die Datenschutzantwort für deinen Claude-Zugang bedeutet

Die kurze Antwort auf „Claude Datenschutz“ lautet:

Es gibt keine einzelne Regel, die für jede Claude-Eingabe gilt. Private Konten, Organisationskonten, API-Aufrufe und die Nutzung über AWS oder Google haben unterschiedliche Vertrags- und Speicherwege. Auch innerhalb eines Kontos können Chat, Memory, Projektwissen, Feedback und Artifacts getrennt gespeichert sein.

„Standardmäßig kein Training“ ist keine Aussage darüber, wie lange ein Chat sichtbar bleibt oder ob ein verbundenes Tool eigene Daten speichert. Umgekehrt bedeutet eine Speicherfrist nicht automatisch, dass der Inhalt fürs Training genutzt wird. Halte diese Fragen getrennt.

Wenn du Claude privat ausprobierst, prüfst du vor allem deine Konto-Einstellungen und die Datenarten, die du einfügst. Bei Kunden- oder Beschäftigtendaten brauchst du zusätzlich den konkreten Vertragsweg und eine Prüfung deines Einsatzes. Anthropic, AWS und Google können für unterschiedliche Verarbeitungsschritte zuständig sein.

Claude-App, API, Cowork und Code sind verschiedene Angebote

Welcher Vertrag zählt, hängt von deinem Claude-Zugang ab. Ein AVV (Auftragsverarbeitungsvertrag) regelt die Verarbeitung personenbezogener Daten in deinem Auftrag. Anthropic nennt ihn auf Englisch Data Processing Addendum (DPA).

Über die API, eine Programmierschnittstelle, bindest du Claude in eigene Software ein. Für diesen Zugang gelten eigene Vertrags- und Speicherregeln.

Free, Pro und Max sind persönliche Claude-Tarife. Team und Enterprise fallen unter die Commercial Terms samt AVV. Bei Claude for Education verwaltet die Hochschule das Konto und ihren Vertrag. Ein Organisations-API-Schlüssel gehört zu einem eigenen Platform-Zugang.

Claude Code kann mehrere dieser Zugänge verwenden. Prüfe deshalb den tatsächlichen Login, nicht nur den Namen der App.

Die Desktop-App ist ein lokales Programm. Das heißt nicht, dass jede Aufgabe lokal verarbeitet wird. Bei einer lokalen Cowork-Ausführung läuft der Agent zwar auf deinem Rechner, aber für die Antwort sendet er benötigte Eingaben an Anthropic.

Eine neue Cowork-Aufgabe auf einem Pro- oder Max-Konto wird seit dem 6. Oktober 2026 standardmäßig in der Cloud ausgeführt.

Auch beim Cloud-Routing über AWS Bedrock oder Google Cloud sind die Vertragswege nicht einfach austauschbar. Für Bedrock greifen AWS-Bedingungen und die für Anthropics Angebot einbezogenen Commercial Terms. Für Claude auf Google Cloud verweist die Google-Dokumentation auf die Regel „Separate Offerings“ im Abschnitt AI/ML Services der Service Specific Terms und auf separate Bedingungen in der passenden Modellkarte. Prüfe diese Unterlagen und den Vertrag für deinen konkreten Google-Cloud-Zugang.

Wann Anthropic private Chats fürs Training nutzen kann

Für Free, Pro und Max beschreibt die spezifische Trainingshilfe eine Einstellung mit Ausnahmen. Anthropic kann Chats und Claude-Code-Sitzungen zur Modellverbesserung nutzen, wenn du es erlaubst, gesondert zustimmst oder eine Unterhaltung zur Sicherheitsprüfung markiert wird. Die aktuelle Privacy Policy formuliert den Trainingszweck allgemeiner. Diese Dokumente nennen keinen einheitlichen Startzustand für jedes Konto.

Prüfe deinen eigenen Schalter.

Prüfe dein Konto unter Einstellungen > Datenschutz > Helfen Sie uns, unsere KI-Modelle zu verbessern. Das ist der dokumentierte Weg für die Modellverbesserung, nicht für Chatlöschung oder jede weitere Speicherung. Eine Änderung wirkt für künftige Verwendungen, holt aber keine Daten aus einem bereits begonnenen oder abgeschlossenen Trainingslauf zurück.

Feedback und Sicherheitsausnahmen

Anthropic kann zur Sicherheitsprüfung markierte Unterhaltungen weiter für interne Sicherheitsmodelle, Richtlinienkontrolle oder Sicherheitsforschung verwenden. Das ist eine engere Ausnahme als gewöhnliches Training des allgemeinen Modells. Sie hebt den Schalter nicht vollständig auf, bedeutet aber, dass „aus“ nicht „Anthropic verarbeitet nichts mehr“ heißt.

Bei einer Daumenbewertung kann Anthropic die gesamte zugehörige Unterhaltung bis zu fünf Jahre speichern und für Analyse oder Modellverbesserung verwenden. Bei anderen Feedback- oder Fehlerberichten gilt die Frist für die tatsächlich übermittelten Daten, die nicht zwingend einen ganzen Chat enthalten. Im privaten Trainingskontext können auch Inhalte aus Claude in Chrome einbezogen werden.

Rohdaten aus angebundenem Google Drive sowie lokalen oder entfernten MCP-Servern sind dagegen laut Trainingshilfe grundsätzlich ausgeschlossen, sofern du sie nicht direkt in den Chat kopierst. Das schließt weder Verarbeitung im Modellkontext noch Speicherung beim verbundenen Anbieter aus.

Für Team, Enterprise und die direkte API erklärt Anthropic in seiner kommerziellen Trainingsrichtlinie, Customer Content standardmäßig nicht fürs Modelltraining zu verwenden. Ausdrückliche Verbesserungsprogramme und eingereichtes Feedback haben eigene Regeln. Ein AVV oder Trainings-Opt-out entscheidet nicht über die Zulässigkeit deines gesamten Ablaufs.

Warum 30 Tage und fünf Jahre verschiedene Dinge meinen

Anthropics Aufbewahrungsangaben beziehen sich auf unterschiedliche Daten und Auslöser. Die Zahl allein verrät nicht, ob ein Chat noch in deiner Historie liegt, ob ein gesondert eingereichtes Feedback gespeichert ist oder ob eine Sicherheitsausnahme greift.

• Normaler privater Chat: Für jeden nicht gelöschten Chat nennt die aktuelle öffentliche Hilfe keine pauschale 30-Tage-Löschfrist. Die Unterhaltung kann in deiner Historie sichtbar bleiben, bis du sie entfernst oder eine andere Kontoregel greift.
• Gelöschter privater Chat: Anthropic sagt, der Chat verschwindet sofort aus der Historie und wird innerhalb von 30 Tagen aus dem Backend gelöscht. Gesetzliche Pflichten und bestimmte Sicherheits- oder Missbrauchsfälle können davon abweichen.
• Modellverbesserung: Inhalte, die nach einer aktiven Freigabe in die Trainingspipeline gelangen, können dort bis zu fünf Jahre in von deiner Nutzerkennung getrenntem Zustand bleiben. Das ist keine Zusage, dass jeder rohe Chat fünf Jahre lang gespeichert wird.
• Feedback: Eine Daumenbewertung kann die ganze zugehörige Unterhaltung bis zu fünf Jahre speichern lassen. Andere Feedback- und Fehlerberichte betreffen die tatsächlich eingereichten Daten. Entferne vertrauliche Inhalte vor dem Absenden.
• Sicherheitsfall: Bei einem markierten Verstoß können Eingaben und Antworten bis zu zwei Jahre und Klassifikationswerte bis zu sieben Jahre gespeichert werden.

Auch bei Team und Enterprise bleiben gespeicherte Chats grundsätzlich im Verlauf, bis du sie löschst oder eine eingerichtete Organisationsregel greift. Enterprise kann eigene Aufbewahrungsfristen konfigurieren. Die Backend-Löschung nach einer Chatlöschung ist gewöhnlich innerhalb von 30 Tagen vorgesehen, mit Ausnahmen. Die kommerziellen Speicherregeln trennen dies von gewöhnlichen direkten API-Ein- und Ausgaben, die automatisch innerhalb von 30 Tagen gelöscht werden.

Compliance-Transkripte, API-Dateien, Batches, Feedback, Sicherheitsdaten und lokale Dateien haben eigene Regeln. Die 30 Tage gelten nicht für alle Claude-Daten.

Was Inkognito, Chatlöschung und Kontolöschung bewirken

Ein Inkognito-Chat wird laut Anthropic nicht in deinem normalen Chatverlauf oder in Memory gespeichert und nicht für Modellverbesserung verwendet. Er wird auch nicht für die Suche in früheren Unterhaltungen herangezogen. Anthropic nennt trotzdem standardmäßig eine Aufbewahrung von 30 Tagen. Für Team und Enterprise können organisatorische Regeln oder Exporte hinzukommen.

Eine offene Stelle bleibt. Die Inkognito-Hilfe verspricht, dass diese Chats nicht fürs Training verwendet werden. Die allgemeine Sicherheitsrichtlinie erlaubt zugleich eine längere Nutzung markierter Unterhaltungen für interne Sicherheitsmodelle. Die öffentlichen Dokumente lösen den möglichen Zusammenhang dieser beiden Aussagen nicht eindeutig auf.

Verstehe Inkognito deshalb weder als Nullspeicher noch als Zero Data Retention.

Wenn du eine normale Unterhaltung löschst, verschwindet sie sofort aus deiner Ansicht. Die Backend-Löschung soll innerhalb von 30 Tagen abgeschlossen sein. Dieser Schritt löscht aber nicht automatisch Konto, Projektwissen, Artifact-Daten, übermittelte Feedback-Datensätze oder Kopien bei einem verbundenen Dienst. Für Memory kommt es auf die Version an. Im neuen Erlebnis bleiben daraus erzeugte Einträge bestehen; die ältere Zusammenfassung folgt den Aufbewahrungsregeln der Quellchats.

Die Kontolöschung ist endgültig und nimmt dir den Zugang zu den Gesprächen. Die Anleitung nennt keinen einheitlichen Termin für die vollständige Löschung aller zugehörigen Datenarten. Exportiere wichtige Daten vorher. Bei einem Organisationskonto prüfst du außerdem Vertrag und Zuständigkeit des Admins.

Für einzelne Chats heißt der dokumentierte deutsche Pfad Chats und Aufgaben > ⋮ > Löschen. Diese Aktion ist nicht das gleiche wie Archivieren oder der Inkognito-Modus.

Was Memory über Chats hinweg behalten kann

Im neuen Memory-Erlebnis speichert Claude einzelne Themen, während du chattest. Jedes Projekt hat zusätzlich einen eigenen Speicherbereich und eine Projektzusammenfassung. Diese Version ist für Free, Pro und Max im Web, in der Desktop-App und in der mobilen App standardmäßig eingeschaltet.

Bei Team und Enterprise entscheiden Owner, ob Mitglieder die neue Memory-Version nutzen können; jedes Mitglied schaltet sie dann für sich ein. Organisationen mit HIPAA, Behördenstatus oder kundenspezifischen Aufbewahrungsverträgen können diese Funktion nicht nutzen.

Eine kleine Zahl an Team- und Enterprise-Organisationen hat noch die ältere Version, die in den Einstellungen unter „Capabilities“ statt „Memory“ erscheint. Sie erstellt eine Zusammenfassung aus Chats. Anthropic sagt, diese werde nach dem Löschen oder Ablauf zugrunde liegender Gespräche entsprechend den Aufbewahrungsregeln aktualisiert.

In der neuen Version kannst du Themen ansehen, bearbeiten oder löschen. „Pausieren“ behält vorhandene Memory-Daten, „Zurücksetzen“ löscht alle Einträge einschließlich der Projekt-Memory endgültig. Schaltet ein Owner die Memory-Funktion für die ganze Organisation aus, löscht Anthropic laut Hilfe alle bestehenden Einträge sofort.

In der neuen Memory-Version kannst du Memory für einen einzelnen Chat vor der ersten Nachricht ausschalten. Der Chat bleibt im Verlauf. Claude kann ihn in anderen Gesprächen über die Suche in früheren Chats finden, wenn diese Funktion für dein bezahltes Konto (Pro, Max, Team oder Enterprise) verfügbar ist. Nach dem Rollout ist sie standardmäßig aktiviert und lässt sich in den Memory-Einstellungen ausschalten. Das ist etwas anderes als die normale Suche in der Chat-Oberfläche.

Anders als beim Inkognito-Chat bleibt diese Unterhaltung im Verlauf.

Wenn du im neuen Memory-Erlebnis einen Chat löschst oder er abläuft, werden daraus erzeugte Memory-Einträge laut Anthropic nicht automatisch entfernt. Lösche betroffene Themen einzeln. Diese Regel gilt nicht automatisch für die alte Zusammenfassungs-Version, die Anthropic an die Aufbewahrungsregeln der zugrunde liegenden Chats bindet. Beide Memory-Versionen können in Datenexporten auftauchen. Bestimmte sensible Themen werden standardmäßig nicht gespeichert; für andere gelten zusätzliche Einschränkungen.

Im neuen Memory-Erlebnis kann Cloud-Cowork dieselbe Memory wie der Chat verwenden; lokal laufende Cowork-Sitzungen nutzen sie nicht. Die ältere Version ist laut Anthropic nicht für Cowork verfügbar. Schalte Memory nicht in der Annahme aus, damit wären Verlauf, Projektwissen oder Cowork-Dateien ebenfalls gelöscht.

Die deutsche Memory-Hilfe beschreibt die aktuellen Einstellungswege und Grenzen.

Diese Desktop-Ansicht zeigt unter Einstellungen > Speicher zwei getrennte Schalter. „Chats durchsuchen und heranziehen“ ist eingeschaltet, „Gedächtnisgenerierung aus Chats“ ausgeschaltet. Bezeichnungen und verfügbare Kontrollen hängen von deiner Memory-Version ab:

Projekte und Artifacts können eigene Kopien behalten

Die Projects-Hilfe nennt Projekte in allen Tarifen, mit bis zu fünf Projekten für Free. Projektdateien und Wissen stehen den Chats dieses Projekts als gemeinsamer Kontext zur Verfügung. Team und Enterprise können intern teilen, soweit die Organisationsregeln es erlauben.

Archivieren ist kein Löschen. Ein archiviertes Projekt behält Gespräche, Wissen und Freigaben. Für die Löschung stellst du es zunächst wieder her. Die Enterprise-Aufbewahrungsregeln geben der Projektregel Vorrang vor der Chatregel.

Ohne eine eingestellte Projektfrist kann Projektwissen unbegrenzt bestehen. Übertrage die 30-Tage-Angabe für gelöschte Einzelchats nicht pauschal auf Projektwissen.

Artifacts sind ebenfalls nicht einfach Chatnachrichten. Alle Pläne können Artifacts erstellen. Apps, Verbindungen und Datenspeicherung zwischen Sitzungen sind aber Funktionen bezahlter Tarife; Admins können sie in Team und Enterprise steuern. Je nach Artifact gibt es persönliche und geteilte Daten.

Andere Nutzer können geteilte Inhalte sehen oder verwenden.

Prüfe deshalb vor einem Upload oder einer Freigabe, welche Inhalte das Artifact speichert, wer darauf zugreifen kann und ob eine öffentliche Freigabe aktiv ist. Ein geteilter Chat erzeugt einen Snapshot und unterliegt anderen Freigaberegeln als ein geteiltes Artifact. Chat löschen oder einen Link entziehen ist keine Garantie, dass alle gespeicherten oder zuvor exportierten Kopien verschwinden.

Die Artifact-Hilfe und die Freigabehilfe beschreiben unterschiedliche Funktionen, aber keine einheitliche Speicherfrist für alle Artifact-Daten.

Cloud-Code und Netzwerkzugriff

Die allgemeinen Cloud-Code-Einstellungen findest du in dieser Desktop-Version unter Einstellungen > Funktionen. In der Aufnahme sind Codeausführung und ausgehender Netzwerkverkehr eingeschaltet. Die Domain-Zulassungsliste steht auf „Nur Paketmanager“, zusätzliche Domains sind nicht eingetragen:

Was sich bei Cowork lokal und in der Cloud ändert

Bei Cowork hängt der Ausführungsort vom Plan und der Organisation ab. Seit dem 6. Oktober 2026 laufen neue Pro-/Max-Aufgaben laut Cowork-Hilfe standardmäßig in der Cloud, auch wenn du sie in Desktop oder mobil startest. Die frühere Auswahl der lokalen Ausführung ist für neue Aufgaben dieser Tarife entfallen.

Bereits lokal gestartete Aufgaben können dort weiterlaufen.

Für Team ist Cloud-Cowork standardmäßig an, für Enterprise aus. Berechtigte Admins können dies ändern. Lokale Sitzungen bleiben als Organisationsoption verfügbar. Die Organisationshilfe zu Cowork beschreibt die Freigaben.

Prüfe die tatsächliche Konto-Einstellung, da die Oberfläche schrittweise ausgerollt wird.

Bei lokalem Cowork läuft der Agent selbst auf deinem Gerät. Shell-Befehle und ausgeführter Code laufen in einer isolierten Linux-VM; Dateioperationen, WebFetch und lokale Plugin-MCP-Prozesse laufen nativ. So beschreibt es die Architekturübersicht. Benötigte Prompts und Inhalte gehen trotzdem zur Modellverarbeitung an Anthropic.

Aufgaben, Uploads und Ausgaben können zusätzlich in lokalen Cowork-Ordnern liegen. Deren Bereinigung löscht nicht automatisch Memory, Plugins, Projektordner oder verbundene Dateien.

In einer Cloud-Sitzung wird die Ausführungsumgebung nach dem Ende verworfen. Die Sitzung und zugehörige Dateien können weiterhin in deinem Claude-Konto gespeichert sein. Wenn Cowork eine lokale Datei benötigt, kann es eine Kopie in die Cloud-Umgebung holen. Die lokale Originaldatei bleibt an ihrem bisherigen Ort.

Eine gelöschte VM bedeutet daher nicht, dass alle Kontodaten gelöscht sind.

Bei einer Cloud-Aufgabe kann Claude über Desktop ausgewählte Ordner oder einen Browser nutzen. Verarbeitete Seiten, Screenshots und Dateiauszüge können ins Modell eingehen. Der Netzwerkfilter der VM kontrolliert nicht automatisch Browser-Traffic, Websuche oder MCP. Die Architekturübersicht unterscheidet diese Datenwege.

Gib nur benötigte Verbindungen frei.

Enterprise-Compliance-Erfassung erzeugt einen weiteren Speicherweg. Erfasste lokale Cowork-Transkripte bleiben standardmäßig sechs Jahre oder die eingestellte Organisationsfrist; bei HIPAA-Readiness höchstens 30 Tage. Erfasste Cloud-Sitzungen bleiben sechs Jahre, sofern der Nutzer sie nicht früher löscht. Diese Compliance-Regeln gelten für entsprechend erfasste Organisationssitzungen, nicht pauschal für jedes Cowork-Konto.

Welche Integrationen zusätzliche Empfänger einbeziehen

Ein Connector erhält Zugriff auf einen verbundenen Dienst, meist nach einer OAuth-Freigabe. Lies die angeforderten Rechte. Ein schreibgeschützter Connector kann Daten abrufen; ein Connector mit Schreibrechten kann auch Änderungen im verbundenen Konto vornehmen. Der Anbieter oder MCP-Server kann eine weitere beteiligte Stelle sein.

Prüfe seine Bedingungen und welche Daten du Claude tatsächlich abrufen lässt.

Ein lokaler MCP-Server oder eine Desktop-Erweiterung läuft als normaler Prozess auf deinem Rechner und kann die Rechte deines Benutzerkontos nutzen. Ein entfernter MCP-Server läuft auf einem Server. Bei Cowork kann ein Remote-Connector von Anthropics Cloud aufgerufen werden. Lokale Ausführung bedeutet deshalb nicht, dass jede Integration lokal bleibt.

Claude erhält nur den Kontext, den ein Werkzeugaufruf tatsächlich zurückgibt und den die Aufgabe verwendet.

Plugins können Skills, Connectoren und weitere Werkzeuge bündeln. Ein Skill ist Anweisungstext und bestimmt allein nicht den Verarbeitungsort. Prüfe, ob die Anweisungen Dateien lesen, Shell-Befehle, URLs oder MCP-Werkzeuge aufrufen. Die Freigabe durch einen Workspace-Admin ersetzt nicht die Prüfung des konkreten Dienstes.

Bei einer Integration mit Browser- oder Computerzugriff kann Claude sichtbare Seiten als Screenshots erhalten oder Schaltflächen bedienen. Diese Berechtigung ist keine vollständige Sicherheitsschranke zwischen Claude und deinen geöffneten Apps.

Arbeite mit einem getrennten Browserprofil, wenn du Kundenkonten verwendest. Öffne keine privaten oder vertraulichen Tabs in einer Sitzung, die sie nicht sehen soll. Anthropic nennt für Claude in Chrome keine ZDR-Unterstützung. Auch die verfügbaren Computer-Use-Funktionen unterscheiden sich nach Plan, Oberfläche und Rollout.

Claude in Excel, PowerPoint und weiteren Office-Apps

Ein Office-Add-in kann Daten direkt aus deiner Arbeitsdatei verarbeiten. Claude in Excel liest und bearbeitet Arbeitsmappen; in PowerPoint kann es Folieninhalte nutzen und ändern. Bei aktivierter appübergreifender Zusammenarbeit können zusätzlich Inhalte zwischen geöffneten Excel-, PowerPoint-, Word- und Outlook-Apps übertragen werden. Prüfe daher Datei, Empfänger und Berechtigung vor dem Start.

Die appübergreifende Funktion setzt eine direkte Claude-Anmeldung voraus. Sie ist für Pro und Max standardmäßig an, für Team und Enterprise aus. Adminvorgaben und Geräteeinstellungen können den Zugriff begrenzen. Ein Cloud-Anbieter-Zugang unterstützt diese Verbindung nicht automatisch.

Die Excel-Datenschutzangaben und die PowerPoint-Dokumentation nennen für Eingaben und Antworten eine Backend-Löschung innerhalb von 30 Tagen ab Empfang oder Erstellung, mit Ausnahmen. Kurzzeitige Caches können nach der Löschung noch einige Stunden bestehen. Der Chatverlauf des Add-ins liegt separat im lokalen Browser-Speicher und synchronisiert sich nicht automatisch auf andere Geräte. Prüfe und bereinige diese Kopie gesondert.

Office-Sitzungen übernehmen weder die organisationsweit konfigurierte Aufbewahrung noch gewöhnliche Enterprise-Audit-Logs pauschal. Für aktivierte Enterprise-Compliance-Erfassung gibt es einen gesonderten, als Beta dokumentierten Weg. Die Office-Seiten nennen keine eigene Trainingsregel. Prüfe den tatsächlich angenommenen Vertrag und lass den Datenweg bei Bedarf bestätigen.

Ein lokal installiertes Add-in bedeutet keine lokale Modellverarbeitung.

Was bei Claude API, ZDR und Datenresidenz gilt

Für eine eigene Anwendung brauchst du die Regeln des API-Zugangs. Prüfe Vertrag, Aufbewahrung und Verarbeitungsregion getrennt.

Direkte API und Vertrag

Unterscheide die direkte Anthropic API vom Zugang über claude.ai. Für Organisationen im EWR, in der Schweiz und im Vereinigten Königreich nennt Anthropic Ireland Limited als Vertragspartner. Für andere Kunden nennt Anthropic, PBC. Der DPA ist in die Commercial Terms einbezogen.

Bei personenbezogenen Kundendaten bist du für deine Zwecke verantwortlich; Anthropic beschreibt sich für die Verarbeitung in deinem Auftrag als Auftragsverarbeiter. Das sagt noch nicht, ob deine konkrete Rechtsgrundlage oder Datenauswahl passt.

Anthropic verwendet kommerziellen Customer Content standardmäßig nicht fürs Modelltraining. Die kommerzielle Trainingshilfe nennt eingereichtes Feedback und Fehlerberichte als mögliche Ausnahme zur Modellverbesserung. Eine Daumenbewertung kann die ganze zugehörige Unterhaltung für bis zu fünf Jahre speichern. Auch mit anderen Feedback- oder Fehlerberichten verbundene Daten werden laut Aufbewahrungsregel fünf Jahre gespeichert; das bedeutet nicht automatisch, dass der gesamte Chat eingereicht wird. Behandle solche Einreichungen getrennt von normalen API-Anfragen.

Speicherfunktionen und Zero Data Retention

Bei gewöhnlichen direkten API-Ein- und Ausgaben nennt Anthropic eine automatische Löschung innerhalb von 30 Tagen. Das ist keine Obergrenze für jedes API-Objekt. Dateien der Files API bleiben bis zur manuellen Löschung oder ihrem konfigurierten Ablauf verfügbar. Beim Upload kannst du eine Laufzeit zwischen einer Stunde und 90 Tagen setzen.

Der Ablauf sperrt den API-Zugriff, garantiert aber keine sofortige endgültige Löschung. Inhalte können vorübergehend für Sicherheitsprüfungen bestehen bleiben; Metadaten können nach dem Ablauf noch bis zu 30 Tage sichtbar sein. Prüfe deshalb den Löschweg und nicht allein das Ablaufdatum.

Die Funktion ist nicht ZDR-fähig. Nachrichten-Batches können bis zu 29 Tage ab ihrer Erstellung bestehen und sind ebenfalls nicht ZDR-fähig. Die Skills API ist ebenso ausgeschlossen; Anthropic nennt dafür keine eigene feste Frist.

Prompt Caching ist bei der direkten API ZDR-fähig, wenn die übrige Anfrage berechtigt ist. Anthropic beschreibt Cache-Daten als nur im Arbeitsspeicher gehalten, mit einer Standarddauer von fünf Minuten oder einer erweiterten Stunde. Das macht nicht automatisch jeden anderen Datenweg im selben Workspace speicherfrei.

Zero Data Retention (ZDR) bedeutet, dass Anthropic geeignete API-Ein- und Ausgaben nach der Antwort nicht im Ruhezustand speichert. Anthropic muss es für die Organisation ausdrücklich freischalten. Es gilt nur für berechtigte Modelle, Endpunkte und Funktionen. Console und Playground sowie Features mit eigenem Speicher sind ausgeschlossen.

Auch einzelne Modelle können einer verpflichtenden Aufbewahrung unterliegen. Prüfe die aktuelle Modell- und Funktionsliste, bevor du ZDR für eine Produktionsanfrage voraussetzt. Telemetrie, Missbrauchsprüfung, Sicherheitsklassifikationen, Support, Compliance-Exporte, lokale Kopien und Cloud-Anbieter werden davon nicht automatisch erfasst.

Selbst unter ZDR erlaubt die API-Richtlinie längere Speicherung bei gesetzlichen Pflichten. Als Sicherheitsfall markierte Eingaben und Antworten können bis zu zwei Jahre bestehen bleiben. Die genannten Feature-Ausnahmen sind Beispiele. Auch Managed Agents, serverseitige Code-Ausführung und weitere Funktionen sind laut aktueller Matrix nicht ZDR-fähig.

Region und Cloud-Anbieter

Die direkte API bietet aktuell global und us als Inferenzregionen. Eine EU-Region gibt es nicht. Die Workspace-Speicherregion ist US. inference_geo steuert, wo ein passender Request verarbeitet wird. workspace_geo betrifft Daten im Ruhezustand. Regionale Inferenz sagt daher nicht automatisch, dass Supportdaten, Logs oder jedes Metadatum ebenfalls dort liegen.

Bei Bedrock greifen AWS-Verträge und die in AWSs Anthropic-Bedingungen einbezogenen Commercial Terms samt DPA. Invocation Logging ist standardmäßig aus. Wenn du es aktivierst, entstehen Kopien in S3 oder CloudWatch.

Die Logging-Konfiguration zu entfernen stoppt künftige Protokollierung, löscht aber vorhandene Logs nicht. Dafür brauchst du passende Aufbewahrungs-, Lifecycle- oder Löschregeln.

Cross-Region-Inference richtet sich nach dem konkreten Modellprofil und dessen Geografie.

Die Google-Dokumentation für Claude auf der Gemini Enterprise Agent Platform verweist auf die Regel „Separate Offerings“ im Abschnitt AI/ML Services der Service Specific Terms und auf separate Bedingungen in der jeweiligen Modellkarte. Lies diese Unterlagen für dein Projekt. Optionale Request-Response-Logs, allgemeine Missbrauchsüberwachung und erweitertes AI-Monitoring sind unterschiedliche Kontrollen und Fristen. Die Region eu ist eine EU-Multiregion, keine einzelne Länderregion. Verfügbarkeit, Modell und konkrete Verarbeitung musst du im richtigen Projekt prüfen.

Ein Google-Cloud-Vertrag oder eine EU-Region bedeutet nicht, dass Anthropics direkte API-Aufbewahrung oder deren ZDR-Regeln automatisch gelten.

Compliance- und Supportdaten haben eigene Regeln. Für erfasste lokale Claude-Code-Sitzungen nennt die Compliance-Dokumentation sechs Jahre oder die konfigurierte Organisationsfrist. Bei HIPAA-Readiness sind es höchstens 30 Tage. Aktives ZDR schließt die entsprechenden lokalen Sitzungen aus.

Das ist keine Speicherfrist für jede API-Anfrage oder alle Supportprotokolle.

Für die aktuelle Funktions- und Modellliste gelten die Anthropic API-Aufbewahrungsregeln, die Datenresidenz-Doku, die Anthropic-Bedingungen auf Bedrock und Googles Claude-Angebot in der Gemini Enterprise Agent Platform.

Was du nach der DSGVO selbst prüfen musst

Ein passender Vertrag und ausgeschaltetes Training sind Bausteine. Sie beantworten nicht automatisch, ob du die personenbezogenen Daten für deinen Zweck verwenden darfst. Prüfe mindestens diese Punkte für den konkreten Ablauf:

• Haushaltsausnahme: Rein persönliche oder familiäre Verarbeitung kann außerhalb des sachlichen Anwendungsbereichs der DSGVO liegen. Das nimmt Anthropic oder andere Anbieter aber nicht automatisch aus ihren eigenen Datenschutzpflichten heraus.
• Zweck und Rechtsgrundlage: Lege fest, warum du Daten verarbeitest, welche Daten dafür nötig sind und welche Grundlage nach Art. 6 DSGVO passt. Eine allgemeine Zustimmung zum KI-Einsatz ersetzt diese Prüfung nicht.
• Rollen und AVV: Verantwortlich ist, wer Zweck und wesentliche Mittel bestimmt. Wenn du im Auftrag arbeitest, prüfe den AVV und hole erforderliche Genehmigungen für Unterauftragsverarbeiter ein. Rollen folgen dem tatsächlichen Ablauf, nicht nur dem Vertragslabel.
• Besondere Daten: Gesundheitsdaten, biometrische Daten zur Identifizierung und andere besondere Kategorien benötigen zusätzlich eine Ausnahme nach Art. 9 DSGVO. Ein Anbieter-Vertrag ist keine pauschale Freigabe für solche Daten.
• Information und Rechte: Informiere betroffene Personen nach Art. 13 oder 14, wo das erforderlich ist. Lege fest, wie Auskunfts- und Löschanfragen bearbeitet werden und halte Verzeichnisse nach Art. 30, soweit sie für dich gelten.
• Sicherheit und Folgen: Nutze angemessene Zugriffsrechte, Schulungen und technische Schutzmaßnahmen nach Art. 32. Prüfe vorab, ob die Verarbeitung voraussichtlich ein hohes Risiko hat und eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist.
• Drittlandzugriffe: Prüfe Empfänger außerhalb des EWR, weitere Anbieter und Fernzugriffe. Eine EU-Speicherregion schließt eine Verarbeitung oder einen Zugriff aus anderen Ländern nicht automatisch aus. Für Übermittlungen brauchst du einen passenden Mechanismus und bei Standardvertragsklauseln eine Bewertung der Schutzmaßnahmen.

Wenn KI-Ergebnisse Entscheidungen über Menschen beeinflussen, prüfe außerdem, wer die Entscheidung trifft und welche Wirkung sie hat.

Automatisierte Entscheidungen und menschliche Prüfung

Art. 22 DSGVO ist für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung relevant. Ein menschlicher Blick zählt nur dann als echte Prüfung, wenn die Person die nötige Kompetenz und Befugnis hat, das Ergebnis zu ändern. Die Stellungnahme 28/2024 des Europäischen Datenschutzausschusses und die Orientierungshilfe der deutschen Datenschutzkonferenz ordnen die Prüfung von KI ein.

Eine Datenschutz-Folgenabschätzung ist nicht pauschal für jede KI-Aufgabe vorgeschrieben, sondern wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten mit sich bringt. Dieser Ratgeber ersetzt keine Rechtsberatung für deinen Einzelfall.

Claude Code: Dateien, Werkzeuge und Berechtigungen

Claude Code kann Dateien in deinem Projekt lesen und Befehle ausführen. Was dabei als Kontext übertragen wird, hängt von Auftrag, Werkzeugen und Berechtigungen ab.

Ich arbeite seit Mitte 2025 mit Claude Code und habe in über 800 Stunden Hunderte Apps, Skripte und Websites damit gebaut. Auch eigener Code kann personenbezogene Daten oder Geheimnisse enthalten; das Eigentum am Code entscheidet nicht über den Datenschutz.

Bei Kundenprojekten können Namen in Testdaten, Zugangsdaten in der .env-Datei und echte Bestellungen im Fehlerlog stehen. Nimmt der Agent sie in den Modellkontext auf, gehen sie an den ausgewählten Anbieter.

Darf das sein? Und wenn ja, mit welchem Tarif?

Die Claude-Code-Anleitung erklärt die Werkzeuge. Die folgenden Abschnitte ordnen ihre eigenen Datenschutzwege ein.

Claude Code Datenschutz auf einen Blick

Bei Claude Code entscheidet nicht die Software über den Datenschutz, sondern der Weg, über den du dich anmeldest. Dieselbe CLI schickt deine Daten je nach Konto in ganz unterschiedliche Vertragswelten:

Bedrock und Google Cloud haben eigene Bedingungen für ihre Verarbeitung. Für Anthropics Bedrock-Angebot gelten zugleich die in AWSs Bedingungen einbezogenen Anthropic Commercial Terms samt DPA. Für Claude auf Google Cloud nennt die Google-Dokumentation die Regel „Separate Offerings“ im Abschnitt AI/ML Services der Service Specific Terms und separate Bedingungen in der Modellkarte. Welche Verarbeitung welcher Vertrag abdeckt, hängt vom Zugang und Kundenvertrag ab.

Übertrage weder direkte API-Fristen noch ZDR automatisch auf die Cloud-Anbieter.

Für Kundenprojekte rate ich dir zu Team, Enterprise oder einem API-Schlüssel deiner Firma. Wie du dahin kommst und was du danach noch einstellen musst, zeigen dir die sieben Schritte.

1. Wähle einen Tarif mit AVV

Ein teures Abo ist noch kein Firmentarif. Claude Max kostet ab 100 $ im Monat und gehört trotzdem zu den Privattarifen, genau wie Free und Pro:

Den Auftragsverarbeitungsvertrag von Anthropic (auf Englisch Data Processing Addendum) gibt es nur zu den Commercial Terms. Die gelten für Team, Enterprise und die API, nicht für Free, Pro und Max. Der AVV enthält auch die EU-Standardvertragsklauseln für die Übermittlung in die USA.

Unter den Commercial Terms verwendet Anthropic Inhalte standardmäßig nicht fürs Training. Freiwillige Freigaben, etwa im Development Partner Program, sowie Sicherheitsprüfungen sind gesondert zu beachten. Gewöhnliche direkte API- und Claude-Code-Ein- und Ausgaben unterliegen der beschriebenen 30-Tage-Regel; daraus folgt keine Löschfrist für sämtliche Daten.

Soll Anthropic personenbezogene Daten in deinem Auftrag verarbeiten, prüfe einen Team- oder Enterprise-Arbeitsbereich oder einen Organisations-API-Schlüssel als Vertragsweg. Nicht jeder Quellcode hat Personenbezug; Kundenvereinbarungen und Vertraulichkeit bleiben trotzdem relevant. Preise erklärt mein Artikel zu den Claude-Code-Kosten.

Allerdings kann eine Enterprise-Organisation eine weitere Kopie anlegen. Die Compliance API speichert erfasste Claude-Code-Sitzungen samt gelesener Dateien standardmäßig sechs Jahre oder eine konfigurierte Organisationsfrist. Bei aktivierter HIPAA-Readiness sind es 30 Tage oder eine kürzere Organisationsfrist. Frag deinen Admin, ob das bei euch aktiv ist.

Claude Code ZDR muss Anthropic für jede berechtigte Enterprise-Organisation gesondert aktivieren. Es deckt geeignete Modellaufrufe dieser Organisation ab, nicht Claude-Chats, Cowork oder externe Dienste. Cloud-Sitzungen, Remote Control und Feedback sind dabei gesperrt. Gesetzliche Pflichten und Sicherheitsfälle bleiben Ausnahmen.

Ein persönlicher Login oder Schlüssel einer anderen Organisation übernimmt die Zusage nicht.

2. Schalte bei Pro und Max die Modellverbesserung ab

Für eigene Projekte nutzt du vielleicht weiter Pro oder Max. Der Schalter zur Modellverbesserung regelt die normale Trainingsnutzung und Aufbewahrungsfrist; Feedback, Sicherheitsfälle und andere Datenwege prüfst du separat.

Öffne auf claude.ai dein Profilmenü und dann Einstellungen > Datenschutz. Der Schalter heißt in der abgebildeten Oberfläche „Help improve our AI models“. Schalte ihn aus. Er gilt laut Anthropics Hilfe zur Modellverbesserung auch für Claude Code, wenn du dich mit diesem Konto anmeldest.

Die Trainingseinstellung im Claude-Konto zeigt denselben Schalter, der auch für deine angemeldeten Code-Sitzungen gilt.

Anthropic nennt bis zu fünf Jahre für von der Nutzerkennung getrennte Daten, die bei aktivierter Modellverbesserung in die Trainingspipeline eingehen. Die 30 Tage beziehen sich unter anderem auf die Backend-Löschung, nachdem du einen Chat löschst. Daraus folgt keine allgemeine Frist für jeden sichtbaren oder nicht gelöschten Chat. Anthropic beschreibt den Ausgangszustand nicht für alle Konten einheitlich.

Prüfe deshalb die Einstellung deines eigenen Kontos.

Auch mit abgeschaltetem Schalter gibt es eine Ausnahme. Markiert Anthropic eine Unterhaltung als Sicherheitsfall, darf es sie für seine Sicherheitsmodelle verwenden.

Neben dem Training schickt Claude Code noch Diagnosedaten an Anthropic. Die stellst du direkt im Terminal ab.

3. Schalte Telemetrie, Fehlerberichte und Feedback ab

Über den direkten Anthropic-Weg sind Fehlerberichte bei Pro und Max seit 2.1.198 standardmäßig an, mit Ausnahmen etwa für ZDR und HIPAA-Readiness. Bei Bedrock und Google sind Metriken, Fehlerberichte und /feedback anders voreingestellt. Umfragen und WebFetch-Prüfungen sind eigene Datenwege. Die Datennutzungs-Doku schlüsselt die Vorgaben auf.

Diese vier Umgebungsvariablen setzt du vor dem Start von Claude Code:

export DISABLE_TELEMETRY=1
export DISABLE_ERROR_REPORTING=1
export DISABLE_FEEDBACK_COMMAND=1
export CLAUDE_CODE_DISABLE_FEEDBACK_SURVEY=1
claude

So gelten sie nur für dieses Terminalfenster. Dauerhaft wirken sie im Block env deiner settings.json oder, für ein ganzes Team, über Managed Settings.

Das Absenden von /feedback, /bug oder /share ist eine eigene Übermittlung und kann das zugehörige Transkript enthalten. Anthropic nennt dafür bis zu fünf Jahre. Ein Umfrage-Rating ist davon getrennt. Erst wenn du Gesprächsdaten ausdrücklich freigibst, wird ein Transkript hochgeladen; dafür nennt Anthropic bis zu sechs Monate.

API-Schlüssel werden teilweise erkannt, Datei- und Quellcodeinhalte aber nicht allgemein entfernt. Bei Bedrock, Vertex, Microsoft Foundry, Claude Apps Gateway und Sitzungen ohne Anthropic-Zugangsdaten bleibt ein freigegebenes Feedback-Paket lokal, bis du es selbst weiterleitest oder anhängst.

Telemetrie enthält laut Anthropic weder Prompts noch Code. Abschalten würde ich sie trotzdem.

Es gibt noch einen Sammelschalter namens CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1. Er schaltet alles Nicht-Notwendige auf einmal ab, auch Remote Control und die automatischen Updates. Wenn du ihn setzt, brauchst du einen anderen Weg für Sicherheitsupdates.

Diese Schalter schließen bestimmte zusätzliche Datenwege. Modellanfragen bleiben nötig; Werkzeuge, Hooks und Integrationen können weitere Verbindungen öffnen. Prüfe deshalb auch, was Claude Code lesen und weitergeben darf.

4. Sperre Geheimnisse für Read-Tool und Sandbox

Ein Prompt wie „Lies die .env nicht“ ist eine Bitte. Eine technische Grenze ziehst du erst in der Datei .claude/settings.json im Projektordner:

{
  "permissions": {
    "blockReadsOutsideWorkingDirectories": true,
    "deny": [
      "Read(./**/.env)",
      "Read(./**/.env.*)"
    ]
  },
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "filesystem": {
      "denyRead": ["~/", "./**/.env", "./**/.env.*"],
      "allowRead": ["."]
    }
  }
}

Du brauchst beide Blöcke für das Read-Tool und sandboxierte Shell-Befehle. denyRead allein sperrt das Read-Tool nicht. Laut Sandbox-Doku bedeutet . in Projekteinstellungen den Projektordner, in ~/.claude/settings.json dagegen ~/.claude. Übertrage das Beispiel deshalb nicht unverändert in globale Einstellungen. Prüfe auch vorhandene excludedCommands, die Befehle außerhalb der Sandbox ausführen.

Mit failIfUnavailable startet Claude Code gar nicht erst, wenn die Sandbox fehlt. Das passiert auf nativem Windows, denn die Sandbox läuft nur unter macOS, Linux und WSL2.

Projektdateien lassen sich lokal verändern. Für verbindliche Vorgaben brauchst du Managed Settings mit den passenden administrativen Sperren, nicht nur eine verteilte Kopie. Soll die Grenze auch andere Prozesse erfassen, prüfe eine separate VM oder einen Container samt begrenzten Mounts, Netzwerk und Zugangsdaten.

Die Sandbox begrenzt Dateien und Netzwerk für erfasste Befehle. Sie bestimmt weder die Modellregion noch die Datenwege außerhalb ihres Geltungsbereichs.

In Claude Desktop findest du unter Einstellungen > Claude Code die Schalter „Lokale Sandbox“ und „Strikter Sandbox-Modus“. Für eine Konfiguration wie oben aktivierst du beide und startest eine neue Sitzung. Die Dateisperren aus der Projektkonfiguration brauchst du weiterhin.

5. Entscheide, ob du EU-Verarbeitung brauchst

Die direkte Anthropic-API rechnet in den USA oder weltweit. Eine EU-Option gibt es in der Doku zur Datenresidenz nicht:

Bei unterstützten Claude-4.6+-Modellen bietet inference_geo global oder us. us kostet das 1,1-Fache; ältere Modelle unterstützen diese Einstellung nicht. Workspace-Daten werden in den USA gespeichert.

Verlangt dein Kunde Verarbeitung in der EU, führt der Weg über einen Cloud-Anbieter. Claude Code läuft mit CLAUDE_CODE_USE_BEDROCK=1 über Amazon Bedrock und mit CLAUDE_CODE_USE_VERTEX=1 über Google Vertex AI. Bedrock bietet EU-Inference-Profiles, Vertex die Region eu.

Welche Modelle es dort in der EU gibt, ändert sich laufend. Diesen Punkt musst du wirklich für dein Modell und dein Konto prüfen. Die Provider-Schalter wählen allein keine EU-Region. Konfiguriere auch Konto, Endpoint und ein regional geeignetes Modell oder Inferenzprofil.

Schließe unzulässige Regionen und Fallbacks aus und prüfe die tatsächliche Route.

EUrouter bewirbt eine Claude-Code-Integration mit EU-Routing. Für die konkrete Modellroute genügt diese Anbieterangabe allein nicht. Prüfe AVV, nachgelagerte Empfänger, tatsächliche Inferenzregion und Fallbacks. Der Gateway ist ein zusätzlicher Dienstleister; für Kundenprojekte würde ich zunächst die direkten AWS- oder Google-Optionen prüfen.

Ein EU-Modell hält allerdings nicht alles in der EU. Drei Funktionen öffnen eigene Wege.

6. Gib Remote Control, Cloud-Sitzungen und MCP-Server einzeln frei

Bei Remote Control bleiben Werkzeuge lokal, während Prompts, Antworten und Werkzeugaktivität zusätzlich bei Anthropic landen. Dafür brauchst du einen unterstützten Claude.ai-Abonnement-Login. API-Keys, setup-token, CLAUDE_CODE_OAUTH_TOKEN, Bedrock, Google Cloud Agent Platform, Microsoft Foundry, Claude Apps Gateway und eigene Nicht-Anthropic-Gateways werden nicht unterstützt.

Seit Claude Code 2.1.283 sperrt DISABLE_TELEMETRY allein Remote Control nicht, außer die Organisation verlangt Trusted Devices. CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC, ZDR und disableRemoteControl sperren es. Das Transkript bleibt eine eigene Anthropic-Speicherung; ZDR und HIPAA-Konfiguration sind dafür nicht verfügbar.

Anthropic-gehostete Cloud-Sitzungen laufen standardmäßig in isolierten VMs; Team- und Enterprise-Organisationen können die öffentliche Beta für selbst gehostete Sitzungen aktivieren. Dann liegen Runner, Checkout und Build-Dateien in der eigenen Infrastruktur, während Control-Plane, Sitzungstranskript und Modellverarbeitung weiterhin mit Anthropic verbunden bleiben. Lokale Uploads können die ganze Git-Historie einschließlich committeter Geheimnisse enthalten.

Unter macOS, Linux und WSL filtert der Upload bestimmte nicht committete Änderungen an typischen Credential-Dateien. Natives Windows hat diesen Dateinamenfilter nicht. Prüfe jeden Upload selbst.

MCP-Server verbinden Claude Code mit weiteren Diensten wie Datenbanken, Kalendern oder Ticketsystemen. Ein entfernter MCP-Server bekommt alles, was der Agent ihm schickt, und für ihn gilt der AVV von Anthropic nicht.

Ich würde für ein Kundenprojekt zunächst alle drei abschalten. Danach gibst du nur das frei, was das Projekt wirklich braucht, und notierst für jede Freigabe, wer die Daten bekommt.

7. Teste die Grenzen mit erfundenen Daten

Eine Einstellung, die du nicht getestet hast, ist eine Vermutung. Lege deshalb einen Testordner mit erfundenen Kundendaten und einer gesperrten .env-Datei an und gehe diese fünf Punkte durch:

1. Starte Claude Code genau so, wie du es im Projekt starten wirst, mit demselben Konto.
2. Bitte Claude Code, die gesperrte .env-Datei zu lesen. Das Read-Tool muss ablehnen.
3. Bitte es, die Datei mit cat auszugeben. Die Sandbox muss ablehnen.
4. Wiederhole den Versuch für jeden Hook und jeden MCP-Server, den du freigegeben hast.
5. Kontrolliere am Ende, dass /feedback deaktiviert ist und keine Remote-Control-Sitzung läuft.

Greift eine Sperre nicht, bleibt das Projekt gesperrt, bis du die Einstellung korrigiert und erneut getestet hast. Ein zusätzlicher Satz im Prompt repariert keine Sandbox.

Die CLI speichert Klartextprotokolle unter ~/.claude/projects. Die lokale Bereinigung steht standardmäßig auf 30 Tagen (cleanupPeriodDays). Ausgenommen sind Transkripte von Sitzungen, die in Desktop oder Cowork gestartet oder zuletzt dort fortgesetzt wurden. Für diese kann eine eigene Desktop-Aufbewahrung gelten; Managed Settings und bestimmte HIPAA-Konfigurationen ändern die Standardeinstellung.

Das ist keine Löschfrist für Cowork-Dateien oder Sitzungen im Claude-Konto. Prüfe lokale Kopien und Backups getrennt.

Die Ergebnisse gehören in deine KI-Richtlinie fürs Unternehmen. So arbeitet jeder im Team mit denselben Grenzen.

Was die DSGVO dabei von dir verlangt

Die Schritte reduzieren bestimmte Risiken. Für personenbezogene Daten musst du den gesamten Verarbeitungsvorgang prüfen. Diese fünf Punkte helfen dabei.

• Rollen: Verantwortlicher ist, wer über Zwecke und wesentliche Mittel entscheidet. Verarbeitung ausschließlich im Auftrag spricht für Auftragsverarbeitung. Handelst du selbst als Auftragsverarbeiter, brauchst du vor weiteren Unterauftragsverarbeitern die spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen nach Art. 28 Abs. 2 DSGVO. Eigene Zwecke des Anbieters prüfst du getrennt.
• Rechtsgrundlage und AVV: Für personenbezogene Daten brauchst du eine passende Rechtsgrundlage nach Art. 6 DSGVO. Bei Verarbeitung in deinem Auftrag ist zusätzlich ein AVV nach Art. 28 erforderlich. Er ersetzt weder die Rechtsgrundlage noch die Prüfung des tatsächlichen Ablaufs.
• Drittlandtransfer: Prüfe Empfänger außerhalb des EWR, auch weitere Dienstleister und deren Fernzugriffe. Es braucht eine einschlägige Grundlage, etwa einen passenden Angemessenheitsbeschluss oder Garantien nach Art. 46. Bei Standardvertragsklauseln prüfst und dokumentierst du das Schutzniveau samt nötigen Zusatzmaßnahmen. Lässt sich ausreichender Schutz nicht erreichen, darf der Transfer nicht stattfinden.
• Besondere Datenkategorien: Gesundheitsdaten oder biometrische Daten zur eindeutigen Identifizierung brauchen zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Anbieterbedingungen können solche Daten trotzdem ausschließen. Gib sie ohne gesonderte rechtliche und vertragliche Prüfung nicht an den Agenten.
• Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko für Rechte und Freiheiten ist vor der Verarbeitung eine DSFA nach Art. 35 nötig. Eine große Datenmenge allein entscheidet das nicht. Prüfe auch gesetzliche Fälle und Muss-Listen der Aufsicht. Bleibt laut DSFA ein hohes Risiko, das du nicht ausreichend begrenzen kannst, musst du vor der Verarbeitung die Aufsicht nach Art. 36 konsultieren.

Wie du den Transfer bewertest, zeigen die Empfehlungen des EDSA zu Drittlandtransfers. Für alles andere empfehle ich die Orientierungshilfe der Datenschutzkonferenz zu KI und die EDSA-Leitlinien zu Verantwortlichen und Auftragsverarbeitern.

Für Zweckbindung, Datenminimierung, Zugriffsrechte, Löschung und Betroffenenrechte brauchst du ebenfalls einen dokumentierten Ablauf. Informiere Betroffene nach Art. 13 und 14 und führe ein Verarbeitungsverzeichnis, soweit erforderlich. Die allgemeinen Regeln gelten toolübergreifend; konkrete Verträge und erlaubte Datenkategorien unterscheiden sich. Anthropics Standard-AVV führt keine besonderen Kategorien auf.

Eine Freigabe dafür darfst du daraus nicht ableiten.

Claude Code, Codex und Cursor im Datenschutz-Vergleich

Wägst du gerade zwischen Claude Code, Codex und Cursor ab, hilft dir dieser Überblick. Beim Datenschutz unterscheiden sie sich vor allem darin, ab welchem Tarif es einen AVV gibt und wie du das Training abschaltest:

OpenAI nennt für Edu eine eigene Student Data Privacy Agreement. Prüfe diese samt Order Form und institutionellen Ergänzungen. Die Speicherwerte in der Tabelle beziehen sich auf Code- oder API-Daten, mit Ausnahmen. Für gespeicherte Chats gelten eigene Löschregeln.

Wie du Codex einstellst, erklärt meine Anleitung zu Codex und Datenschutz. Für Cursor findest du alles in der Anleitung zu Cursor und Datenschutz.

Prüfe die Claude-Code-Dateigrenzen

Ein Tarif mit AVV, begrenzte Datenwege und getestete Sperren sind Bausteine für zulässige Auftragsverarbeitung. Sie ersetzen die rechtliche Prüfung des konkreten Einsatzes nicht.

Fang mit Schritt 4 in einem Testprojekt mit einer erfundenen .env-Datei an. Teste Read-Tool und Shell getrennt. Das zeigt die Wirkung dieser Zugriffe; andere Funktionen und Plattformen prüfst du zusätzlich. Modellaufrufe können dabei Kosten verursachen.

Dein nächster Schritt

Identifiziere zuerst deinen Zugang und die Funktion, die du wirklich nutzt. Prüfe dann Trainingseinstellung, Speicherobjekt, Empfänger und Vertrag getrennt. Bis du Vertrags- und Transferfragen geklärt hast, verwende keine echten Kundendaten als Test.

Für Code-Aufgaben kannst du mit erfundenen Daten prüfen, ob Read-Tool und Shell die vorgesehenen Sperren einhalten. Diese Probe beantwortet nicht automatisch Fragen zu Chat, Cowork, Memory oder verbundenen Diensten.

Bei konkreten Rechtsfragen hilft dir dein Datenschutzbeauftragter oder eine Rechtsberatung. Dieser Ratgeber ist keine Einzelfallprüfung.